Adicionar e implantar um Microsoft Azure Edge

No Horizon Universal Console, você pode usar a UI Adicionar Horizon Edge para adicionar e implantar um Horizon Edge na sua assinatura do Microsoft Azure. O Horizon Edge é uma infraestrutura em nuvem thin-edge. Para implantações do Microsoft Azure, uma assinatura do Azure é o fornecedor.

Nota: você pode definir um Horizon Edge como uma implantação tradicional de locação única ou como uma implantação de recurso multiempresa.

Depois que seu ambiente estiver configurado com pelo menos um domínio do Active Directory e um provedor de identidade, o Horizon Universal Console disponibilizará o fluxo de UI Adicionar Horizon Edge.

Nota: depois de implantar um Edge VM, você não poderá alterar seu endereço IP. A tentativa de fazer isso causa a indisponibilidade do Edge Gateway, pois o cluster Kubernetes para de funcionar e precisa ser reinicializado. Não há suporte para alterar o endereço IP de uma VM Edge implantada.

Entender a implantação de recurso multiempresa

O recurso multiempresa único é o método de implantação tradicional para Horizon Edges de qualquer tipo de capacidade no Horizon Cloud, mas a implantação de recurso multiempresa está disponível para o tipo de provedor do Horizon Cloud on Microsoft Azure.

Opções de configuração para especificar se o Edge deve ser criado usando o método de locatário único ou se o método de vários locatários está disponível no fluxo de criação do Edge à medida que você passa pela página da UI de Adicionar Horizon Edge.

A criação de um Horizon Edge para o Microsoft Azure como um tipo de registro de aplicativo empresarial gerenciado da Omnissa (também conhecido como método de recurso multiempresa) no Horizon Cloud permite que os administradores usem credenciais gerenciadas pela Omnissa para acessar assinaturas do Azure, eliminando a necessidade de os clientes gerenciarem manualmente os segredos principais de serviço e as rotações de chave.

Com a arquitetura de recurso multiempresa, sua organização aceita nosso link de consentimento e a Omnissa cria uma entidade de serviço em seu locatário. A ID do aplicativo e a chave secreta passam a ser propriedade da Omnissa e são gerenciados em nome de sua organização. Usar esse método no Horizon Cloud exige que você conceda à entidade de serviço (ID do aplicativo) da Omnissa acesso à sua assinatura por meio do portal do Microsoft Azure. Esse processo é integrado ao processo de criação do Horizon Edge, conforme descrito abaixo na seção Procedimento.

Nota: se você excluir um aplicativo de vários locatários no Horizon Cloud, também deverá excluí-lo do portal do Microsoft Azure.

O método gerenciado da Omnissa (tipo de registro de aplicativo empresarial gerenciado da Omnissa) assume a responsabilidade de manter a chave de segredos da entidade de serviço da organização do cliente e coloca essa responsabilidade sobre a Omnissa. Isso fornece um grau adicional de segurança, já que as organizações não precisam fornecer informações de chave de segredos à Omnissa.

O método de recurso multiempresa único tradicional de implantações do Horizon Edge para o Horizon Cloud on Microsoft Azure (tipo de registro de aplicativo empresarial manual) continua disponível.

O método gerenciado pela Omnissa (tipo de registro de aplicativo empresarial gerenciado pela Omnissa) é o método recomendado.

Pré-requisitos para recurso multiempresa

Os pré-requisitos para conceder consentimento a um aplicativo de recurso multiempresa são descritos em Dar consentimento de administrador em todo o locatário a um aplicativo na documentação do produto da Microsoft.

Considerações de implantação do Horizon Edge Gateway

As opções de configuração para especificar o Horizon Edge Gateway estão disponíveis quando você acessa a seção Horizon Edge Gateway da página de seleção da UI Adicionar Horizon Edge.

Como administrador, você pode especificar que um Horizon Edge Gateway seja implantado no Microsoft Azure como Única Máquina Virtual ou como Serviço do Kubernetes do Azure (AKS). O modo preferencial é o AKS.

Se você optar por implantar o Horizon Edge Gateway como única máquina virtual durante a configuração inicial, também poderá alterar a implantação para o AKS mais tarde. No entanto, depois que o Edge Gateway for implantado com êxito no modo AKS, você não poderá reverter para o modo de VM única. Se, durante esse fluxo de trabalho de alteração, a implantação do AKS falhar, você poderá examinar a mensagem de erro e repetir a movimentação do fluxo de trabalho para o AKS ou reverter para o modo de VM única.

Nota: não é possível alterar o tipo de conectividade de rede (link privado da Internet para o Azure) ao fazer a alteração do modo de implantação do Horizon Edge Gateway (VM única para AKS). Apenas uma operação tem suporte por vez.

Decida qual tipo de implantação do Horizon Edge Gateway usar com base nas qualidades necessárias.

Tipo de implantação	Principais Qualidades	Detalhes
Serviço do Azure Kubernetes (AKS)	Oferece suporte a mais de 5K (5.000) sessões. O Serviço do Azure Kubernetes (AKS) tem requisitos relacionados à Microsoft que devem ser atendidos. O login SSO e o monitoramento da coleta de dados são gerenciados por meio de serviços replicados que dão suporte à entrega dessas funções com recurso de failover total em caso de falha.	O AKS é um padrão do Microsoft Azure para aplicativos nativos da nuvem corporativa nos centros de dados do Microsoft Azure. O tipo AKS fornece um Edge Gateway de uma arquitetura agrupada em cluster, que fornece serviços replicados que oferecem suporte à experiência de login do SSO e a coletas de dados de monitoramento. O AKS também permite alta disponibilidade (HA).
Máquina Virtual Única	Oferece suporte a até 5K (5.000) sessões. Menos pré-requisitos envolvidos na assinatura do Microsoft Azure do que para o tipo AKS. Se em algum momento futuro a VM implantada não estiver disponível, o comportamento resultante será: Os usuários finais terão que fazer login sem single sign-on (SSO). Os dados de monitoramento das áreas de trabalho não serão registrados durante o período em que a VM estiver indisponível.	Embora o tipo de VM única seja mais simples de implantar devido a menos pré-requisitos do que o tipo AKS, se a VM implantada ficar indisponível, o seguinte poderá ocorrer: Os usuários finais verão o fluxo de login sem a experiência de login do SSO. Por exemplo, eles terão que entrar usando suas credenciais do Active Directory. Os dados de monitoramento de desktop enviados para a VM do Edge Gateway não são registrados durante o período em que a VM está indisponível.

Pré-requisitos gerais

À medida que você seleciona itens nas páginas de seleção da UI Adicionar Horizon Edge, o sistema tenta confirmar se esses itens específicos estão preenchidos. Se esses requisitos não forem cumpridos, você será impedido de concluir as etapas da UI. Por exemplo, ao implantar o tipo de implantação AKS, se o gateway NAT selecionado no tipo de saída Cluster não estiver conectado à Sub-rede de Gerenciamento selecionada, quando você clicar em Implantar, a UI exibirá uma mensagem e impedirá o progresso. Nesse ponto, você terá que sair das etapas da UI, concluir o requisito para conectar o gateway NAT à sub-rede de gerenciamento e reiniciar as etapas da UI desde o início.

Antes de começar a criar o Horizon Edge, verifique se você ou sua equipe de TI cumpriram os seguintes pré-requisitos.

• Analise a Lista de verificação requisitos para implantar o Microsoft Azure Edge e certifique-se de que esses requisitos sejam atendidos. Observe que os requisitos para o recurso multiempresa único tradicional (manual) e múltiplos recursos multiempresas são ligeiramente diferentes.

• Revise os itens preparatórios descritos nas páginas com hiperlinks na página Implantações do Microsoft Azure Edge e certifique-se de que esses itens sejam concluídos.

• Revise o artigo do fórum da Comunidade Omnissa Compreender o Omnissa Horizon Edge Gateway: propósito, arquitetura e práticas recomendadas.

• Verifique se você tem as informações de assinatura do Azure, as informações de rede, os FQDNs e esses itens para que possa especificá-los nos campos e nas listas do assistente.

• Verifique se as portas de saída necessárias são permitidas. Consulte Tornar URLs de destino apropriadas acessíveis para implantar um Horizon Edge Gateway em um ambiente Microsoft Azure.

• Se você planeja usar um servidor proxy para rotear o tráfego, ele deverá estar acessível a partir da sub-rede de Gerenciamento do Edge.

• Decida se deseja que o provedor principal do Horizon Edge seja dedicado às instâncias do Horizon Edge Gateway e do Unified Access Gateway ou se deseja que o provedor principal também forneça desktops e aplicativos do usuário final. Se você desejar que o provedor principal seja dedicado aos dispositivos de gateway do Horizon Edge, precisará das informações da assinatura do Azure para a etapa da UI que especifica um provedor secundário para desktops e aplicativos.

Pré-requisitos para configurar o modo avançado do UAG

As opções de configuração para especificar o Horizon Unified Access Gateway estão disponíveis quando você acessa a seção Unified Access Gateway da página de seleção da UI Adicionar Horizon Edge. Certifique-se de atender a esses pré-requisitos antes de começar a adicionar o Horizon Edge.

• Certifique-se de que todos os clientes Horizon que se conectam ao Edge (para os quais o modo UAG Advanced está sendo configurado) foram atualizados para a versão mais recente do Horizon Agent HAI. Consulte as Notas da versão do Horizon Cloud para obter informações relacionadas aos requisitos de versão do agente HAI.

• O Modo Avançado do UAG está disponível em todas as plataformas suportadas, incluindo clientes de Desktop Nativo, Móvel e Web.

• Ao editar um Horizon Edge implantado, se houver uma alteração no tipo de implantação de Básica para Avançada ou de Avançada para Básica, o endereço IP do balanceador de carga na seção Unified Access Gateway da página da UI de implantação do Edge poderá mudar. Se ocorrer uma alteração no IP do balanceador de carga, você deverá atualizar o registro DNS com o novo endereço IP.

• Se o balanceador de carga do Unified Access Gateway tiver um endereço IP de front-end privado alocado de uma DMZ ou sub-rede de VM, o endereço IP do balanceador de carga será alterado se você selecionar uma sub-rede diferente ao alterar o tipo de implantação entre Básico e Avançado. Para obter mais informações, consulte Atualizar o tipo de implantação do Unified Access Gateway e o impacto do endereço IP do balanceador de carga.

Pré-requisitos para implantar o UAG fora do Azure Marketplace

Quando você implanta um UAG, se a sua Assinatura do Azure for o Azure China, o Horizon Cloud criará automaticamente uma conta de armazenamento em um novo grupo de recursos e importará o VHD do UAG. Em seguida, criamos uma imagem com base nesse VHD na sua Assinatura do Azure. A versão da imagem é válida para operações de criação, dimensionamento horizontal, dimensionamento vertical e atualização. O nome do grupo de recursos gerado automaticamente é hcsappimg-{providerInstanceId}-rg. O nome da conta de armazenamento é gerado aleatoriamente porque deve ser exclusivo em todo o Azure. Se você não quiser que o Horizon Cloud crie automaticamente esse novo grupo de recursos ou nova conta de armazenamento, deverá entrar em contato com o Omnissa Customer Connect e fornecer suporte à ID da conta de armazenamento para um dos seus grupos de recursos ou contas de armazenamento existentes para que possamos executar uma API antes do tempo para importar o VHD para a sua conta de armazenamento existente e criar a imagem em um grupo de recursos existente. Atualmente, esse recurso está disponível apenas para um provedor do Azure na China.

Procedimento para criar o Horizon Edge para Microsoft Azure

Durante esse procedimento, você fará várias opções de configuração para o Horizon Edge on Microsoft Azure, incluindo se deseja implantar para recurso multiempresa único ou múltiplos recursos multiempresas.

O Horizon Universal Console no Horizon Cloud disponibiliza a página Adicionar UI do Horizon Edge de vários pontos de entrada. O ponto de partida no console para esta etapa geralmente depende se seu ambiente é novo ou se já tem implantações do Horizon Edge.

• Ainda não há Horizon Edges? Se seu ambiente ainda não tem Horizon Edges, você pode iniciar o assistente clicando em INICIAR IMPLANTAÇÃO. Como alternativa, você pode clicar em Capacidade e em Iniciar > Microsoft Azure para abrir o stepper de UI.

• Pelo menos um Horizon Edge: se houver pelo menos um Horizon Edge para Microsoft Azure já criado e implantado em seu ambiente do Horizon Cloud, clique em Capacidade > Horizon Edges > Adicionar > Horizon Cloud > Microsoft Azure no Horizon Universal Console para abrir a página do passo a passo de Adicionar Horizon Edge.

1. Faça login no Horizon Universal Console. Consulte Fazer login no Horizon Cloud.

2. Clique em Capacidade > Horizon Edges no painel de navegação à esquerda.

3. Na guia Horizon Edges, clique em Adicionar e, no menu suspenso, selecione Horizon Cloud > Microsoft Azure.

4. Responda a todas as páginas subsequentes do passo a passo da UI, conforme descrito abaixo.

Informações gerais

Digite um Nome do Horizon Edge exclusivo que vai diferenciar este Horizon Edge dos outros que você verá no console. Você pode adicionar uma descrição opcional. Clique em Avançar para continuar.

Provedor Primário

Preencha as entradas na página Provedor Primário e clique em Avançar para continuar.

1. Para a Assinatura do Azure, selecione um dos provedores existentes do seu ambiente ou use Adicionar Novo para fornecer novas informações de assinatura do provedor. Se você selecionar uma assinatura existente do Azure, os seguintes campos serão preenchidos e não serão editáveis.

   Ao adicionar novas informações de assinatura do provedor, forneça:

   • Um Nome do Horizon Edge exclusivo que vai diferenciá-lo dos outros que você verá no console.

   • Seu ID de assinatura do Microsoft Azure no Portal do Microsoft Azure.

   • Selecione o Tipo de Nuvem do Azure, a Região do Azure e a ID do Diretório aplicável para essa ID de assinatura do Microsoft Azure.

   • Forneça as informações da entidade de serviço (ID do aplicativo, chave do aplicativo e data de expiração) que você criou no portal do Microsoft Azure para essa finalidade.

   Para obter informações relacionadas sobre a expiração da chave de aplicativo principal do serviço, consulte Monitoramento e Gerenciamento de Notificações.

2. Para o Tipo de Registro de Aplicativo Empresarial, selecione Manual para o método tradicional de locatário único ou Gerenciado da Omnissa (Recomendado) para o método de vários locatários, conforme descrito na ajuda na tela.

3. Opcionalmente, marque a caixa de seleção Dedicar aos dispositivos de gateway Horizon para dedicar este provedor às instâncias do Horizon Edge Gateway e do Unified Access Gateway e usar um provedor separado para fornecer os recursos aos quais o usuário final tem direito. Se não for selecionado, este provedor também fornecerá os recursos autorizados ao usuário final.

Registro de aplicativo empresarial

Preencha a página registro de aplicativo empresarial e clique em Avançar para continuar. Observe que as opções diferem com base em se você selecionou Manual ou Gerenciado da Omnissa (Recomendado) na página Provedor Primário.

• Se você tiver especificado Gerenciado da Omnissa (Recomendado) na etapa anterior, poderá adicionar aplicativos de vários locatários (ou selecionar um aplicativo de vários locatários disponível) para IDs de assinatura dos quais você recebeu acesso, conforme descrito na ajuda na tela. Opcionalmente, você também pode marcar a caixa de seleção para Propagar para todos os Horizon Edges, UAGs, imagens e pools.

  • Clique em Adicionar e na seção Aplicativos de Vários Locatários da página para adicionar um novo aplicativo de vários locatários ou selecione um aplicativo de vários locatários existente na tabela.

  • Na coluna Status da linha de aplicativo de vários locatários específica, observe que o status é exibido como Consentimento Não Concedido.

  • Na coluna Ações para a linha de aplicativo de vários locatários específica, clique em Link de Consentimento para abrir uma página de solicitação de permissões.

  • Nota: se você não tiver permissão para clicar em links externos (como o Link de Consentimento), poderá realizar um processo de consentimento alternativo que não exija o uso do Link de Consentimento. Para dar seu consentimento sem usar o Link de Consentimento, você pode criar a entidade de serviço de aplicativo multilocatário usando o Microsoft Graph, a CLI do Azure ou o Microsoft Graph PowerShell. A maneira mais fácil é usar a CLI do Azure, executando os seguintes comandos:

         az login --tenant <your-tenant-id>
         az ad sp create --id <omnissa-application-id>
  

  • Na página Permissões solicitadas da Microsoft, clique em Aceitar. É exibida uma mensagem informando que uma entidade de serviço foi criada para esse locatário e que o nome corresponderá ao nome do aplicativo na linha na qual você selecionou Link de Consentimento. Você será então redirecionado para seu portal do Microsoft Azure.

  • O processo de concessão de permissão de acesso à entidade de serviço é feito no seu portal do Microsoft Azure no aplicativo de Controle de Acesso (IAM). A atribuição de função mínima necessária é Colaborador. Para obter informações sobre como atribuir direitos de acesso, consulte tópicos como Atribuir funções do Azure usando o portal do Azure na documentação do produto Microsoft.

  • Após conceder permissão à entidade de serviço, saia do portal do Microsoft Azure e atualize a página Adicionar UI do Horizon Edge para observar que a entrada da coluna Status mudou de Consentimento não concedido para Função não atribuída.

• Se você tiver especificado Manual na etapa anterior e estiver optando por criar uma implantação tradicional de locatário único, será solicitado a especificar o ID do aplicativo, a Chave do Aplicativo e a Data de expiração para a entidade de serviço, conforme descrito na ajuda na tela. Você também pode adicionar entidades de serviço.

• (Opcional): na seção Entidades de Serviço Adicionais, clique em Adicionar para adicionar entidades de serviço.

  Além da entidade de serviço principal do provedor, você pode criar quatro entidades de serviço adicionais e exclusivas para um provedor. Para suportar um total de 5.000 VMs, adicione quatro entidades de serviço adicionais. Quando você tem várias entidades de serviço, elas compartilham o ID da assinatura e o ID do diretório, mas cada entidade de serviço tem seu próprio ID de aplicativo.

  Importante: você deve usar a mesma função para cada entidade de serviço.

• (Opcional): expanda o nó Avançado para adicionar tags de recursos do Azure conforme necessário. Para obter informações relacionadas, consulte Usar tags de recursos do Azure.

Provedores Secundários

Preencha a página Provedores Secundários e clique em Avançar para continuar.

Embora você possa, opcionalmente, adicionar provedores secundários conforme descrito na ajuda na tela, o provedor secundário deve estar na mesma região do Azure que o provedor primário.

Redes

Na página Redes, selecione as sub-redes do locatário (desktop) a serem usadas para os provedores primário e secundário e, em seguida, clique em Avançar para continuar.

Nota: você pode selecionar as sub-redes em um estágio posterior. No entanto, o sistema impede a implantação de quaisquer recursos em um provedor até que o Horizon Edge tenha pelo menos uma sub-rede de locatário associada.

Site

Na página Sites, selecione um site existente em seu ambiente ou selecione Adicionar Novo para adicionar novas informações do site. Para um novo site, forneça um nome exclusivo e uma descrição opcional. Clique em Avançar para continuar.

Conectividade

Preencha a página Conectividade e clique em Avançar para continuar.

1. Na seção Conectividade, selecione o Tipo de conexão de rede para esse Horizon Edge como Link Privado do Azure (Recomendado) ou Internet, conforme descrito na ajuda na tela.

   Para obter informações relacionadas, consulte a Lista de verificação de requisitos para implantar um Microsoft Azure Edge.

   Nota: como as assinaturas do Governo do Microsoft Azure não oferecem suporte ao Link Privado do Azure, o tipo de conectividade será corrigido como Internet se você tiver selecionado Azure: Governo dos EUA como seu Tipo de Nuvem do Azure na página Provedor Primário.

2. Na seção Armazenamento de Aplicativos do App Volumes, selecione a Sub-rede de endpoint privado para o endpoint privado do Azure como Usar sub-rede de gerenciamento do Edge Gateway ou Configurar sub-rede personalizada, conforme descrito na tabela a seguir e clique em Avançar para continuar.

   Nota: depois de configurar o endpoint privado, os usuários devem sair de suas máquinas virtuais e efetuar login novamente.

   Opção	Descrição
   Usar Sub-rede de Gerenciamento do Edge Gateway	Sub-rede de gerenciamento do Edge Gateway na qual um recurso de endpoint privado é criado. Recomenda-se usar essa opção padrão.
   Configurar sub-rede personalizada	Certifique-se de ter configurado os pré-requisitos. Para obter informações sobre esses pré-requisitos, consulte Endpoint privado do Azure para uma conta de armazenamento de aplicativos do App Volumes. Marque as caixas de seleção de confirmação. Selecione uma rede virtual no menu suspenso Endpoint Privado vNet. Selecione a sub-rede correspondente no menu suspenso Sub-rede.

Após o Horizon Edge ser implantado e o endpoint privado ser criado com sucesso, o status do endpoint privado será Configurado. Se o status for Não configurado, o endpoint privado poderá ser configurado novamente usando a opção Configurar endpoint privado na seção Armazenamento de aplicativos do App Volumes do Horizon Edge. Para obter mais informações sobre como usar essa opção, consulte a seção Configurar endpoint privado para uma conta de armazenamento de aplicativos do App Volumes em Exibir detalhes do Horizon Edge.

Se houver problemas de conectividade entre qualquer um dos pools de áreas de trabalho e compartilhamentos de arquivos existentes que estejam afetando o fornecimento de aplicativos e você quiser reverter para o acesso à rede pública para a conta de armazenamento até solucionar esses problemas, use a opção Remover endpoint privado. Essa opção remove o endpoint privado configurado e ativa automaticamente o acesso à rede pública para a conta de armazenamento no portal do Azure. Depois de corrigir os problemas, você pode configurar o endpoint privado usando a opção Configurar Endpoint Privado.

Horizon Edge Gateway

Preencha a página do Horizon Edge Gateway e clique em Avançar para continuar

1. Na seção Horizon Edge Gateway, selecione um tipo de implantação (Serviço do Azure Kubernetes ou Máquina Virtual Única) conforme descrito na ajuda na tela.

• Serviço Azure Kubernetes: esta opção é para o Edge Gateway (AKS). A captura de tela a seguir mostra o tipo de informações exibida e solicitada quando você seleciona o tipo de implantação do Serviço do Azure Kubernetes. Esse tipo de implantação é normalmente usado para um ambiente de produção.

• Máquina Virtual Única: esta opção é para Edge Gateway (VM). A captura de tela a seguir mostra o tipo de informação exibida e solicitada quando você seleciona o tipo de implantação Máquina Virtual Única. Esse tipo de implantação normalmente é usado para um ambiente simples ou de prova de conceito.

Nota: a UI exibe uma sequência de caracteres de alta disponibilidade com base no tipo de implantação selecionado. Para o tipo de implantação de Máquina Virtual Única, a sequência de caracteres exibida significa que, se a VM não estiver disponível, os usuários finais verão o fluxo de login sem a experiência de login SSO e os dados de monitoramento de desktops não serão registrados quando a VM não estiver disponível. Para o tipo de implantação do Serviço do Azure Kubernetes, a cadeia de caracteres exibida significa que a experiência de login do SSO e a coleta de dados de monitoramento são tratadas por meio de serviços replicados que permitem um failover completo dessas funções.

Nota: conforme declarado anteriormente, você pode implantar inicialmente a borda usando o tipo de implantação single virtual machine e, posteriormente, alterar para o tipo de implantação do Azure Kubernetes Service (AKS). No entanto, não é possível alterar um Edge implantado com sucesso do tipo de implantação do Serviço Azure Kubernetes (AKS) para o tipo de implantação de Máquina Virtual Única.

2. Depois de selecionar o tipo de implantação, configure as definições do Horizon Edge Gateway usando as instruções para esse tipo específico de implantação, conforme a seguir. Depois de preencher os campos da UI exibidos para o tipo de implantação escolhido, continue seguindo as instruções na tela.

Tipo de implantação	Etapas
Serviço do Azure Kubernetes (AKS)	Para a opção do Serviço do Azure Kubernetes, Selecione o Tipo de saída do cluster no Gateway NAT e Rotas definidas pelo usuário. A seleção padrão é Gateway NAT. Se você selecionar Gateway NAT, um Gateway NAT deverá ser associado à sub-rede de gerenciamento. Se você selecionar Rotas definidas pelo usuário, uma tabela de rotas deverá ser anexada à sub-rede de gerenciamento com a rota padrão configurada com um tipo de dispositivo virtual de próximo salto. As portas e URLs necessárias devem estar acessíveis, caso contrário, a implantação do AKS Edge poderá falhar. O AKS adiciona entradas à tabela de rotas na sub-rede de gerenciamento para roteamento interno de pods do Kubernetes. Não remova as entradas. O Tipo de Saída do Cluster não pode ser editado após a criação do Horizon Edge. Selecione a Identidade gerenciada pelo usuário que tem as funções necessárias. Na subseção Rede virtual, selecione uma rede virtual para seu site. As redes virtuais disponíveis são determinadas pela região do Microsoft Azure selecionada anteriormente. Para criar uma nova rede virtual, acesse o portal do Microsoft Azure. Selecione a Sub-rede de gerenciamento a ser usada para instâncias do Horizon Edge Gateway e do Unified Access Gateway. Certifique-se de que a sub-rede de gerenciamento selecionada esteja configurada com um gateway NAT, porque um Horizon Edge usando um cluster AKS precisa de um gateway NAT para conectividade de saída. Cuidado: Certifique-se de que a sub-rede de Gerenciamento selecionada não seja usada por outro cluster do AKS. Na caixa de texto CIDR de serviço, digite o intervalo de endereços IP para este CIDR. Forneça um intervalo mínimo de /27. Certifique-se de que esse intervalo CIDR não seja usado por nenhum elemento de rede no ou conectado à rede virtual da Sub-Rede de Gerenciamento. Certifique-se de que esse intervalo CIDR não entre em conflito com outros endereços IP importantes, como o IP do servidor DNS, o IP do servidor AD ou os endereços IP do Unified Access Gateway. Na caixa de texto Pod CIDR, digite o intervalo de endereços IP para este CIDR. Forneça um intervalo mínimo de /21. Certifique-se de que esse intervalo CIDR não seja usado por nenhum elemento de rede no ou conectado à rede virtual da Sub-Rede de Gerenciamento. Certifique-se de que esse intervalo CIDR não entre em conflito com outros endereços IP importantes, como o IP do servidor DNS, o IP do servidor AD ou os endereços IP do Unified Access Gateway. Opcionalmente, ajuste o Prefixo DNS do Cluster AKS padrão. Para ativar o Single Sign-On para recursos que fazem parte deste Horizon Edge, ative a opção Usar SSO e selecione a configuração apropriada no menu suspenso Configurações de SSO. Para rotear solicitações de saída por meio de um servidor proxy, ative Usar proxy de saída. Digite um nome e o endereço IP do servidor proxy. Digite o número da porta em que o proxy HTTP/TCP escuta o tráfego HTTP/HTTPS. Para adicionar um certificado para comunicação segura SSL/TLS, selecione Ativar SSL. O Horizon Cloud só oferece suporte à autenticação SSL. Não há suporte para a autenticação de nome de usuário e senha. Carregue um certificado de proxy. O Horizon Cloud só oferece suporte a certificados no formato PEM. O certificado deve oferecer suporte a Nomes Alternativos da Entidade (SANs) em vez dos Nomes Comuns preteridos. (Opcional) Se o tipo de provedor for Microsoft Azure, você poderá gerenciar as tags de recursos do Azure conforme necessário. Expanda o nó Avançado. Se houver tags herdadas, essas tags serão listadas para sua referência Clique em Adicionar. Gerencie as etiquetas de recursos conforme necessário. Você pode adicionar tags a serem aplicadas aos grupos de recursos específicos deste Microsoft Azure Edge. Clique em Concluído . Clique em Implantar para ativar o processo de criação do Horizon Edge.
Máquina Virtual Única	Para a opção Máquina Virtual Única, Na subseção Rede virtual, selecione uma rede virtual para seu site. As redes virtuais disponíveis são determinadas pela região do Microsoft Azure selecionada anteriormente. Para criar uma nova rede virtual, acesse o portal do Microsoft Azure. Selecione a Sub-rede de gerenciamento a ser usada para instâncias do Horizon Edge Gateway e do Unified Access Gateway. Para ativar o Single Sign-On para recursos que fazem parte deste Horizon Edge, ative a opção Usar SSO e selecione a configuração apropriada no menu suspenso Configurações de SSO. Para rotear solicitações de saída por meio de um servidor proxy, ative Usar proxy de saída. Opcionalmente, selecione Configurações de proxy de outro Horizon Edge. Digite um nome e o endereço IP do servidor proxy. Digite o número da porta em que o proxy HTTP/TCP escuta o tráfego HTTP/HTTPS. Opcionalmente, se o servidor proxy exigir credenciais, digite o Nome de usuário e a Senha. Para adicionar um certificado para comunicação segura SSL/TLS, selecione Ativar SSL. (Opcional) Para especificar intervalos de rede internos, clique em Avançado e, opcionalmente, especifique um CIDR de Serviço e um CIDR de Pod. Na caixa de texto CIDR de Serviços, se aplicável, digite o intervalo de endereços IP para esse CIDR. Forneça um intervalo mínimo de /27. Observe que não é recomendado alterar esse valor posteriormente, a menos que o valor atual se sobreponha às suas redes internas. Na caixa de texto CIDR do POD, se aplicável, digite o intervalo de endereços IP para este CIDR. Forneça um intervalo CIDR mínimo de /21. Observe que não é recomendado alterar esse valor posteriormente, a menos que o valor atual se sobreponha às suas redes internas. (Opcional) Se o tipo de provedor for Microsoft Azure, você poderá gerenciar as tags de recursos do Azure conforme necessário. (Opcional) Clique em Avançado para exibir as informações de tags de recursos do Azure. Se existirem tags herdadas, elas serão listadas para sua referência. Clique em Adicionar. Gerencie as etiquetas de recursos conforme necessário. Você pode adicionar tags a serem aplicadas aos grupos de recursos específicos deste Microsoft Azure Edge. Clique em Concluído . Clique em Implantar para ativar o processo de criação do Horizon Edge.

Unified Access Gateway (UAG)

Preencha a página Unified Access Gateway e clique em Salvar para criar o Edge.

Consulte também a seção Pré-requisitos para configurar o modo avançado do UAG acima se você pretende usar o tipo de implantação Avançada.

Para obter informações sobre opções de proxy ao especificar saídas de UAG, consulte Requisitos de portas e protocolos para sua implantação do Horizon Cloud no Microsoft Azure.

Para obter informações sobre como implantar o UAG sem o uso do Azure Marketplace, consulte a seção Pré-requisitos para implantar o UAG fora do Azure Marketplace na parte superior desta página.

1. Na seção Implantação, selecione o Tipo de implantação Básica ou Avançada. A configuração do tipo de implantação especifica que a distribuição do balanceador de carga usa source-ip-affinity ou hash.

   • Básico – use para um cenário de balanceador de carga com afinidade por IP de origem para oferecer suporte a até 2.000 conexões para cada Horizon Edge se o gateway NAT ou firewall estiver configurado na frente de um balanceamento de carga do Azure.
   • Avançada: use para um cenário de balanceador de carga com afinidade baseada em hash para suportar até 18.000 conexões para cada Horizon Edge. O uso dessa opção requer que você use uma nova sub-rede de gerenciamento com uma máscara de sub-rede de /28. Essa sub-rede de gerenciamento do UAG deve estar na mesma vNet ou em uma vNet emparelhada, como a sub-rede de gerenciamento do Edge. A nova sub-rede de gerenciamento do UAG deve ser fornecida com uma máscara de sub-rede /28 selecionada na lista.

   Por exemplo, em cenários em que você implanta um gateway NAT ou firewall na frente de um balanceador de carga do Azure com o UAG básico/de afinidade de IP de origem habilitado, apenas 2.000 conexões são compatíveis com cada Horizon Edge. Com a implantação avançada/hash do UAG ativada, até 18.000 conexões podem ser suportadas para cada Horizon Edge.

   Quando você clica em Salvar para configurar o modo avançado do UAG, é exibida uma mensagem informando que a configuração do modo avançado do UAG está em andamento. A configuração do modo avançado do UAG pode levar até 15 minutos para ser concluída.

   Após a configuração bem-sucedida do modo avançado do UAG, o IP do balanceador de carga do UAG pode mudar. Nesse caso, talvez seja necessário atualizar o registro DNS com o novo endereço IP.

   Nota: se o balanceador de carga do Unified Access Gateway tiver um endereço IP de front-end privado alocado de uma sub-rede DMZ ou VM, o endereço IP do balanceador de carga será alterado se você selecionar uma sub-rede diferente ao alterar o tipo de implantação de Básica para Avançada. Para obter mais informações, consulte Atualizar o tipo de implantação do Unified Access Gateway e o impacto do endereço IP do balanceador de carga. Para obter informações relacionadas sobre balanceadores de carga do Azure, consulte Modos de distribuição do balanceador de carga do Azure na documentação da Microsoft.

   Se você selecionar Avançado, poderá executar uma ou mais das seguintes operações:

   • Se você estiver implantando o UAG como Blast Extreme, poderá especificar que a porta 8443 ou a porta 443 seja usada.
   • O serviço de implantação ativa automaticamente a porta UDP de entrada 8445 no NSG de gerenciamento do UAG.
   • Você pode especificar um servidor NTP e informações de proxy, conforme mostrado e descrito na ajuda na tela para essas opções.
   • Você pode gerenciar tags de recursos do Azure conforme necessário, o que inclui visualizar tags herdadas, editar e excluir tags existentes e adicionar tags a serem aplicadas aos grupos de recursos específicos deste Unified Access Gateway. Para obter informações relacionadas, consulte Usar tags de recursos do Azure.

   Se você selecionar Avançado, também verá a opção Pacotes de criptografia. Um conjunto de criptografia é um conjunto padronizado de algoritmos criptográficos usados para proteger a comunicação em uma rede. Todos os pacotes de codificação estão ativados por padrão. Você pode optar por desativar ou ativar um ou mais pacotes de codificação na seguinte lista na tela:

   • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
   • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
   • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
   • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384

   Nota: pelo menos um dos pacotes de codificação selecionados deve ser um pacote de codificação GCM.

2. Na seção Acesso ao Gateway, selecione um Tipo de Acesso entre as seguintes opções:

   • Acesso interno por meio de uma rede corporativa: se você quiser acessar suas VMs somente pela intranet (rede corporativa interna). Um balanceador de carga de camada 4 será implantado com um front-end na rede Desktop.
   • Acesso externo pela Internet: se você quiser acessar suas VMs pela Internet. Um balanceador de carga de camada 4 será implantado com um IP público.
   • Acesso interno e externo: permite acesso interno e externo.
     
     

   Nota: para todas as três opções, é necessário acesso de saída à Internet para *.horizon.omnissa.com. Ao usar o acesso interno em uma rede corporativa, o roteamento definido pelo usuário ou o Gateway NAT podem ser aplicados à sub-rede de gerenciamento para permitir o tráfego de saída. Quando o acesso externo é configurado externamente com uma rede DMZ, o acesso externo*.horizon.omnissa.com deve ser configurado na rede DMZ.

   Se você estiver usando uma versão compatível do Horizon Edge, também poderá implantar um UAG com um proxy que usa HTTPS em vez de HTTP ou implantar um UAG com um proxy sem precisar fornecer certificados confiáveis. Para ativar essas opções, entre em contato com o Omnissa Customer Connect.

3. Na seção Configuração de acesso, selecione a opção para ativar o IP público automático para o Unified Access Gateway ou desative se preferir usar o IP público manual.

   A alternância está ativada por padrão. Se um endereço IP personalizado manual for selecionado, um Unified Access Gateway externo será implantado com um endereço IP de front-end privado na rede DMZ. Em seguida, você deve cuidar do roteamento desse endereço IP privado para o público fornecido pelo cliente.

4. Na seção Acessar FQDN de Configuração, forneça o FQDN ou FQDNs para a implantação do Unified Access Gateway. O(s) FQDN(s) deve(m) ser acessível(is).

   Ao configurar o acesso interno e externo, se quiser usar o mesmo FQDN, digite o mesmo FQDN em ambos os campos: FQDN externo e FQDN interno.

5. Na seção VMs do gateway, no campo Tipo de certificado, selecione entre PEM e PFX no menu suspenso.

6. Na seção VMs do Gateway do campo Certificado, carregue o certificado que permite que os clientes confiem nas conexões com o Unified Access Gateway no Microsoft Azure.

   Um certificado autoassinado é compatível.

   O algoritmo de assinatura 'SHA256withRSA' é compatível e necessário.

   O certificado deve conter apenas o EKU de Autenticação do Servidor e não deve incluir o EKU de Autenticação do Cliente.

7. Na seção VMs do Gateway, selecione o Modelo de VM a usar para o UAG a partir da lista de modelos de VM disponíveis.

8. Na seção VMs de Gateway, digite o número de VMs de gateway necessárias no campo VMs do UAG.

9. Na seção Rede, use a ajuda na tela para especificar informações de rede virtual, sub-rede de VM, sub-rede de Gerenciamento do UAG e sub-rede DMZ.

10. (Opcional) Expanda a opção Avançado e use a ajuda na tela para especificar a porta TCP blast extreme, o servidor NTP, o proxy de saída e as informações de tag de recursos do Azure, conforme descrito na ajuda na tela e abaixo.

    Você pode gerenciar tags de recursos do Azure conforme necessário, o que inclui visualizar tags herdadas, editar e excluir tags existentes e adicionar tags a serem aplicadas aos grupos de recursos específicos deste Unified Access Gateway.

    Se for implantada no Azure China, a imagem do Azure Marketplace para o UAG não terá suporte. Nesse cenário, o Unified Access Gateway é copiado para uma conta de armazenamento do Azure criada automaticamente como parte da implantação. Esse recurso é acionado automaticamente quando a implantação do UAG usa um provedor do Azure China. No entanto, você também deve adicionar a função de Colaborador de Dados do Blob de Armazenamento ao seu princípio de serviço para oferecer suporte a esse fluxo de trabalho.

    Quando você implanta um UAG, se a sua Assinatura do Azure for o Azure China, o Horizon Cloud criará automaticamente uma conta de armazenamento em um novo grupo de recursos e importará o VHD do UAG. Em seguida, criamos uma imagem com base nesse VHD na sua Assinatura do Azure. A versão da imagem é válida para operações de criação, dimensionamento horizontal, dimensionamento vertical e atualização. O grupo de recursos, o contêiner da conta de armazenamento e o nome da imagem terão o nome prefixo hcs-app-img. O nome do grupo de recursos gerado automaticamente é hcs-app-img-{providerInstanceId}-rg. O nome da conta de armazenamento é gerado aleatoriamente e não pode conter o caractere de traço (-), portanto o nome segue a convenção de nomenclatura hcsappimg{random-suffix}.

    Para especificar um grupo de recursos ou uma conta de armazenamento existente para este processo, entre em contato com o Suporte no Omnissa Customer Connect, conforme descrito na seção Pré-requisitos para implantar o UAG fora do Azure Marketplace, na parte superior da página.

11. Clique em Salvar.

O que fazer agora

Depois de concluir este procedimento, crie registros DNS que correspondam ao FQDN inserido para as instâncias do Unified Access Gateway. Consulte Configurar registros DNS após a implantação do Horizon Edge Gateway e do Unified Access Gateway.

Depois de concluir a implantação do Horizon Cloud e autorizar desktops ou aplicativos aos usuários finais, esteja ciente de como o seguinte comportamento do Unified Access Gateway afeta os usuários finais que usam o Horizon Web Client. Se uma instância do Unified Access Gateway entrar no modo de manutenção ou entrar em um estado não íntegro e se tornar inacessível, as sessões em andamento para usuários finais que usam o Horizon Web Client serão reconectadas a uma instância do Unified Access Gateway íntegra. O período de reconexão pode levar alguns minutos. Esteja ciente de que a atualização do certificado SSL para o Unified Access Gateway encerra as sessões do usuário final.

Nota: se você excluir um aplicativo de vários locatários no Horizon Cloud, também deverá excluí-lo do portal do Microsoft Azure.

Para obter informações sobre como monitorar sua implantação, consulte Monitorar seu ambiente.